我正在按照本教程配置多个子网和防火墙：
https://networkfirewall.workshop.aws/setup/distributedmodel.html
本教程展示了如何过滤通过防火墙的流量。但是，当我查看时Public Subnet，子网的 CIDR 范围是，10.1.1.0/24但路由表显示local目标是10.1.0.0/16，不是10.1.1.0/24吗？
私有子网也一样，私有子网的 CIDR 范围是，10.1.0.0/24但目标的路由表将local目标显示为10.1.0.0/16
我要么很困惑，要么不知道为什么要这样配置。有人可以帮我理解吗。
在这种情况下，“本地”是指“在我的 VPC 内”。因此，任何发往 VPC 中其他地方的流量都是“本地的”。到 Internet 的流量（即VPC 外部）进入 Internet 网关。
AWS 路由的工作方式与使用物理路由器、交换机和电线的“传统”路由不同。所以他们的术语有时是不同的。
从图中可以看出 10.1.0.0/16 是您的本地域，因此任何来自目标 10.1.0.0 到 10.1.255.255 的流量都将通过本地接口发送到您的网络。下面是默认路由 0.0.0.0/0，它将所有其他流量发送到 Internet 网关防火墙。
因此，如果具有私有 IP 10.1.0.111 的实例向 google dns 8.8.8.8 发送 DNS 查询，它会将流量路由到黄色突出显示的“目标”并遵循红色箭头。
如果实例 10.1.0.111 想要向例如内部 DNS 服务器 10.1.3.33 或 10.1.1.33 发送 DNS 查询，则每个防火墙、公共或私有路由表上的路由都会将流量从本地接口发送出去。但我同意这有点不清楚。我认为，如果您想象在我以黑色添加的所有子网之间有一个称为“本地”的虚拟交换机（您必须原谅我缺乏艺术技巧），那么这有助于流量的逻辑方向。
例如，公共路由表 1 的路由表通常看起来更像这样
10.1.1.0/ 24 - 本地连接的子网
10.1.0.0/ 16 - 本地
0.0.0.0/0 - nat-aaaa
当我查看公共子网时，子网的 CIDR 范围是 10.1.1.0/24，但路由表显示本地目的地是 10.1.0.0/16，不应该是 10.1.1.0/24 吗？
在这里，私有子网和公共子网是不同安全区域中子网的术语（可能会在进一步的文本中详细说明）。
10.1.0.0/16是您的整个示例地址空间，路由到您的领域。它被划分为几个 /24 网络，您可以使用这些网络创建分区环境 - 其中一些是公共的，一些是私有的，由防火墙分隔。